Borrador pendiente de revisión legal. Este texto es un borrador de trabajo y no es el texto legal definitivo. Debe revisarlo un abogado antes de publicar el sitio.
Acuerdo de tratamiento de datos
Última actualización: [PENDIENTE fecha de publicación]
Partes y roles
Este acuerdo se celebra entre cada organización que usa Socios y la sociedad titular de la plataforma. La organización es la responsable de los datos de sus socios: decide para qué los usa. Socios es encargado de tratamiento según el artículo 30 de la Ley 18.331: trata los datos solo por cuenta de la organización. La organización lo acepta al registrarse y queda registro de la versión, la persona, la fecha y la IP. [PENDIENTE: razón social, RUT y domicilio de la sociedad titular]
Objeto y finalidad
Socios usa los datos solo para prestar el servicio: gestionar socios, cuotas, comunicaciones, el portal del socio y las páginas públicas que la organización active, además de respaldos, seguridad y soporte. No vende ni cede los datos, no los usa para publicidad propia ni de terceros y no los usa para entrenar modelos de inteligencia artificial.
Instrucciones de la organización
Tratamos los datos según este acuerdo, la configuración que la organización elige en el panel y las acciones de sus usuarios. Si una instrucción nos parece contraria a la ley, lo avisamos antes de cumplirla. Si una autoridad nos pide datos, avisamos a la organización salvo que la ley lo prohíba.
Confidencialidad del personal
Solo accede a los datos el personal que lo necesita para prestar el servicio. Todas esas personas firman un compromiso de reserva que sigue vigente después de terminada su relación con nosotros (Ley 18.331, artículo 11).
Medidas de seguridad
Los datos de cada organización están separados de los de las demás por reglas de la base de datos que se comprueban con pruebas automáticas. Ciframos los datos en tránsito y en reposo, guardamos los archivos en forma privada con enlaces que vencen, exigimos segundo factor de autenticación al personal de soporte y llevamos un registro de auditoría que no se puede modificar.
Acceso de soporte
El personal de soporte solo entra a la cuenta para atender un pedido de la organización, ayudar a cargar socios, corregir un error del servicio o responder a un incidente. Cada acceso dura 1, 24 o 72 horas como máximo, exige un motivo escrito y se avisa por correo a los administradores. Durante el acceso no se puede exportar el padrón, borrar socios, enviar campañas, gestionar usuarios ni cambiar el plan. Cada pantalla consultada y cada cambio quedan en el registro de auditoría de la organización, sin guardar lo que se busca. La organización puede terminar el acceso en cualquier momento, pedir una copia del registro y exigir que cada acceso se autorice antes desde su panel; después de terminar un acceso, durante 72 horas solo se puede entrar con su autorización. [PENDIENTE: revisar con abogado]
Subencargados
Usamos proveedores que tratan datos por nuestra cuenta, como Amazon Web Services para el alojamiento y Amazon SES para el envío de correos, con contratos de protección de datos. Avisamos a las organizaciones al menos 30 días antes de sumar o cambiar uno, y pueden oponerse. [PENDIENTE: publicar la lista de subencargados con su función y país]
Transferencia internacional
Como no hay centros de datos del proveedor de nube en Uruguay, los datos se alojan en otro país, y el personal de soporte puede trabajar desde fuera de Uruguay. Cumplimos el artículo 23 de la Ley 18.331 para esas transferencias. [PENDIENTE: país de alojamiento y vía de transferencia: revisar con abogado]
Incidentes de seguridad
Si ocurre un incidente que afecta datos de la organización, empezamos a reducir su impacto dentro de las 24 horas y avisamos a la organización en un plazo máximo de 24 horas desde que lo constatamos, para que pueda comunicarlo a la Unidad Reguladora y de Control de Datos Personales dentro de las 72 horas, como exige el Decreto 64/020. [PENDIENTE: revisar con abogado]
Derechos de los socios
El panel permite a la organización responder los pedidos de acceso, rectificación, actualización, inclusión y supresión. Si un socio nos escribe a nosotros, reenviamos su pedido a la organización dentro de 2 días hábiles para que pueda responder en el plazo legal de 5 días hábiles.
Devolución y supresión al terminar
Al terminar el servicio, la organización puede exportar todos sus datos. Después borramos los datos y, dentro de un plazo documentado, las copias de respaldo, y entregamos una constancia. Solo los conservamos más tiempo si la organización lo autoriza, hasta 2 años, o si una norma lo exige. [PENDIENTE: plazos definitivos]
Conservación del historial de soporte
El historial de accesos de soporte y su registro se conservan 24 meses desde el fin de cada acceso. [PENDIENTE: revisar con abogado]
Verificación por la organización
La organización puede revisar su registro de auditoría en el panel, pedir nuestra documentación de seguridad, enviarnos un cuestionario por año y, con aviso previo, auditar el cumplimiento de este acuerdo. [PENDIENTE: condiciones y costos de la auditoría]